米国のペネトレーションテスト事情（ssmjp）
•
9 likes•7,373 views
2017年2月に実施した、「米国のペネトレーションテスト事情」のスライドです。
Recommended
More Related Content
Similar to 米国のペネトレーションテスト事情（ssmjp）
Similar to 米国のペネトレーションテスト事情（ssmjp） (15)
More from Tomohisa Ishikawa, CISSP, CSSLP, CISA, CISM, CFE
More from Tomohisa Ishikawa, CISSP, CSSLP, CISA, CISM, CFE (9)
Recently uploaded
Recently uploaded (11)
米国のペネトレーションテスト事情（ssmjp）
- 2. $ whoami • Tomohisa Ishikawa • セキュリティ・コンサルタント @ 某セキュリティ企業 • 専門：ペネトレーションテスト・インシデント・レスポンス etc. • 対外発表経験 • SANSFIRE 2011, SANSFIRE 2012, DEF CON 24 SE Village, LASCON 2016, Bsides Philly … • 資格はたくさん • CISSP, CISA, CISM, CFE, GPEN, GWAPT, GXPN, GWEB, GREM, GSNA, GCIH • Social Media • ブログ http://www.scientia-security.org/ • LinkedIn https://www.linkedin.com/in/tomohisaishikawa • スライド https://www.slideshare.net/tomohisaishikawa
- 3. 今日お話したいこと • １年間米国企業で、海外トレーニーとして滞在 • その中で感じたペネトレーションテストの違いに ついてお話したいと思います。 • この発言は個人の見解であり、所属する組織の 公式見解ではありません。
- 4. 日本で言うペネトレーションテストって… • 某M社とか某L社とか某N社のページを見てみると.. • Webセキュリティ診断サービス • プラットフォーム診断サービス • 標的型攻撃診断サービス（メール訓練サービス・出口対策検証） • 無線LAN診断サービス • DDoS体制検証サービス • 安全第一！！ • ※ ちなみにセキュリティ診断とペネトレーションテストをほぼ同じ意味で 使いますが、宗教上の理由でこの二つを一緒に語ることが許せない人 とは適当に読み替えてください。
- 7. Red Teamサービスでは何が変わるのか？ →診断対象が変わる（３領域全てをカバー） Digital Physical Social • Webアプリケーション診断 • プラットフォーム診断 • 標的型診断（出口対策検証） • 標的型診断（メール訓練） • Vishing（Voice Phishing） • OSINT • テール・ゲーティング • なりすまし • IDカード・クローニング • ネットワーク接続された 端末への物理攻撃 • エレベータ・ハッキング • 物理アクセス突破
- 10. Red Teamサービスでは何が変わるのか？ →定義が違う • Digital・Social・Physicalの攻撃ベクタを組み合わせて 管理された状態で実際の攻撃さながらの検査を行うこと • Controlled but Real Intrusion • 複数の専門家で構成される • 攻撃者のマインドセットを持っていること • コントロールの評価とBlue Teamの有効性の評価 • セキュリティ企業のサービスと提供される以外にも、ユーザ系企業の 一部門としてRed Teamを持っていることも多い。
- 11. Red Teamサービスでは何が変わるのか？ →ペネトレーションテストとは違う！！ • ペネトレーションテストというと、個別の評価技術をさす文脈で使われる ことが多い。 Penetration Test Red Team 作業内容 ある観点から、脆弱性を見つけ、 評価し、悪用可否を検証すること 目的を達成するために必要な脆弱性を 見つけ、評価して悪用すること 方法論 静的な方法論 動的な方法論 攻撃者の プロフィール 用意しない 用意する セキュリティチームへ の通知 （大抵の場合）あり なし 実施時間 業務時間中 24時間 最終ゴール 脆弱性の悪用 脆弱性悪用によるビジネス影響を評価
- 13. 物理ペネトレーションテスト • ゴール • どこまで内部侵入して情報が取れるのか？ • 物理セキュリティの観点から正しく設計されていれば、ゾーニ ングがされているため、どこまで突破できるのか調べる。 • やり方は色々
- 14. ケース２：標的型攻撃サービス
- 15. 標的型サービス • 米国のサービスレベルは大きく３種類に分類される。 • Awareness Phishing • Penetration Test Phishing • Red Team Phishing
- 16. Red Team Phishing • 日本年金機構への攻撃をそのまま再現！！ • OSINTで情報収集（LinkedIn・リクルータを装う） • １～２名ほど選定して、攻撃メールを送付 • 発表ばかりの新鮮な脆弱性を利用 • PowerShellなどを活用してPost Exploitationを実行 • アカウント情報を盗んでパスワード解析をしたり • Low & Slowの原則 • Red Team vs. Blue Team
- 17. まとめ • 米国では、３領域をカバーするRed Teamサービスが主流と なりつつある。 • 日本ではまだ実施されていない深度・種類のサービスも 登場しており、今後日本でもこのようなサービスが求められ てくるのでは…
- 18. Bonus Session
- 20. Digital Penetration Test分野の話 • PowerShellを活用した攻撃が主流となりつつある。 • 最近のトレンドについては別の機会に • ペネトレーションテスト系の資格 • CEH (by EC-Council) • GIAC (by SANS) • OSCP (by Offensive Security)
- 21. Thank you !! Any Question ?? スライドは後日Slide Shareにアップロードします。 • メール scientia.admin@gmail.com • ブログ http://www.scientia-security.org/ • スライド https://www.slideshare.net/tomohisaishikawa